?

墨菲定律视角下的数据库入侵防御

随着网络信息化的发展,企业组织对网络安全的关注,由物理安全、边界安全和系统安全,已逐渐将注意力转移到业务安全和数据安全,对于业务数据的安全防护成本已占到企业组织如意彩票pk10计划一期预算成本的一半以上。特别在新时代新形势新业态的互联网安全中,信息安全部门已逐步成为企业组织的一级部门,企业数据已经成为组织核心资产,对于数据的保护已写入企业的基本战略。

数据安全

企业对数据资产的安全防护存在多项工作,数据备份安全、数据存储安全、数据脱敏及加密……以可用性为主的业务安全观点人群中,大多还没有完全理解数据库安全的重要性,而据前瞻性统计发现,越来越多的企业信息安全负责人开始将数据库安全细分领域列入自己的备忘清单。业务连续性为企业组织的根本核心,而业务安全和数据安全是企业长久发展的安全保障,在以企业数据资产为核心竞争力的现下,数据库作为企业组织“核心竞争力”--数据资产--的容器,承载了企业核心数据,成为业务运行和数据保护的基础设施,数据库的安全防御问题已跃至CTO/CIO的工作内容象限的榜首。

一、数据库面临哪些安全威胁

企业组织的数据库体系,不仅仅是数据库软件平台本身,不会流动的数据没有意义,当我们考虑数据库安全的时候,显然我们需要合理评估数据库的受攻击面大小,数据库访问涉及的认证、授权和审计问题,由于开发人员疏忽带来的软件漏洞和运维人员的管理不善等。各种各样的风险都可能产生并带来可怕的后果,笔者实验室通过收集各漏洞平台及企业安全运营者的反馈数据库安全信息,参考OWASP TOP 10制定了数据库应用防御的十大数据库风险威胁列表。

大数据库安全威胁(DB Vuln Top 10)

权限滥用

特权提升

数据库软件漏洞

SQL注入

审计记录缺失

拒绝服务

通信协议漏洞

身份验证不足

敏感数据泄露

安全配置不规范

数据安全

二、数据库安全风险是否会发生

答案就是墨菲定律,它阐述了一个事实:如果事情有变糟糕(发生)的可能,不管这种可能性有多小,它总会发生。

墨菲(Edward A. Murphy)是美国爱德华兹空军基地的上尉工程师。1949年,他和他的上司斯塔普少校,在一次火箭减速超重试验中,因仪器失灵发生了事故。墨菲发现,测量仪表被一个技术人员装反了。由此,他得出的教训是:如果做某项工作有多种方法,而其中有一种方法将导致事故,那么一定有人会按这种方法去做。在事后的一次记者招待会上,斯塔普将其称为“墨菲法则”,并以极为简洁的方式作了重新表述:凡事可能出岔子,就一定会出岔子。墨菲定律的适用范围非常广泛,它揭示了一种独特的社会及自然现象。它的极端表述是:如果坏事有可能发生,不管这种可能性有多小,它总会发生,并造成最大可能的破坏。

此后在技术界也不胫而走,并不是我要将其强加在数据库安全领域,因为它道出了一个法则,即安全风险必将由可能性变为突发性的事实。

三、以墨菲定律分析数据库安全

从墨菲定律来观察数据库入侵防御,我们要持以积极的态度,既然数据库安全风险一定会发生,那我们一定要顺应必然性,积极应对,做好事件应急和处置。在数据库安全防御方面来说,要科学合理规划全面积极的应对方案,必须做到事前主动防御、事中及时阻断、事后完整审计。

根据墨菲定律可总结对数据库入侵防御的启示:

1. 不能忽视数据库风险小概率事件

虽然数据库安全事件不断发生,但仍有一定数量的安全负责人认为,企业安全防护已经从物理层、网络层、计算主机层、应用层等进行了多重防御,网络边界严格准入控制,外部威胁情报和内部态势感知系统能完美配合,业务数据早已经过层层保护,安全威胁不可能被利用发生数据库安全事件。

由于小概率事件在一次实验或活动中发生的可能性很小,因此,就给人一种错误的理解,即在一次活动中不会发生。与事实相反,正是由于这种错觉,加大了事件发生的可能性,其结果是事故可能频繁发生。虽然事件原因是复杂的,但这却说明小概率事件也会常发生的客观事实。

相关推荐
新闻聚焦
猜你喜欢
热门推荐
  • 微软AI面试题有多难?这里有一份样卷

      究竟什么样的AI人才能被微软这样的巨头聘用呢?今天,文摘君就淘来了几道微软AI 面试题,同时给出了最基本的解答......

    06-25????来源:澎湃新闻网

    分享
  • 全球最聪明的大脑怎么看AI?他们预测了

      2017年AI领域取得了诸多成果。2018年AI又将何去何从?以下是来自世界顶级研究人员和行业领军人物对2018年AI领域发展作......

    02-20????来源:虎嗅网

    分享
  • 2017JavaScript框架战报 - React分战场

      我们来看看与React有关的软件包的生态系统。当Facebook构建React时,就有许多来自开源社区的第三方软件包。为提供完......

    02-27????来源:湖北新闻网

    分享
  • 小白学数据:教你用Python实现简单监督学

      监督学习作为运用最广泛的机器学习方法,一直以来都是从数据挖掘信息的重要手段。即便是在无监督学习兴起的近......

    03-05????来源:今日头条

    分享
  • 现代编程语言Swift、Kotlin等十大有趣功能

      最近学习了一些现代编程语言,比如Reason,Swift,Kotlin和Dart。这些编程语言提供了许多新功能,本文主要分享了我认......

    04-29????来源:祁东新闻网

    分享
  • 领域场景分析的6W模型

      组成场景的要素常常被称之为6W模型,即描写场景的过程必须包含Who,What,Why,Where,When与hoW这六个要素。......

    04-30????来源:砍柴网

    分享
  • 开源应用服务器WildFly 12发新季度交付模式

      WildFly 12 Final版本现在已经可以下载了,WildFly是一款灵活的开源应用服务器,支持开发人员构建轻量级应用程序。支持......

    05-10????来源:青岛新闻网

    分享
  • 基于Spring Cloud的微服务落地

      微服务架构模式的核心在于如何识别服务的边界,设计出合理的微服务。但如果要将微服务架构运用到生产项目上,......

    06-04????来源:广西新闻网

    分享
  • 为什么阿里工程师纷纷在内网晒代码?

      前阵子,在阿里一个小黑屋里,5名对代码有着极致追求的工程师参与阿里代码领域最高荣誉“多隆奖”的最终角逐。......

    06-08????来源:四川新闻网

    分享
  • 超级大汇总!200多个最好的机器学习、

      我把这篇文章分为了四个部分:机器学习,自然语言处理,python和数学。在每个部分中我都列举了一些主题,但是因......

    09-25????来源:洛阳新闻网

    分享
返回列表
Ctrl+D?将本页面保存为书签,全面了解最新资讯,方便快捷。